防御・対策

IOC

Indicators of Compromise

定義

IOC（Indicators of Compromise：侵害の痕跡）とは攻撃が行われたことを示す証拠となるデータポイントです。不審なIPアドレス・ドメイン・URL・ファイルのSHA256ハッシュ・レジストリキー・プロセス名・ネットワーク通信パターン・メールの件名・添付ファイルのハッシュなどが含まれます。脅威インテリジェンスプラットフォーム（MISP・VirusTotal・商用CTIフィード）で共有・配信され、SIEMやEDRのアラートルールに組み込んで自動検知に活用します。IOCは「既に起きたことの証拠」という性質上、高度なAPTはC2インフラを頻繁にローテーションするため、IOCのみに依存する検知戦略は限界があります。IOCより抽象度の高い「TTPベースの検知」（MITRE ATT&CKのテクニックレベルで検知ルールを構築する）はインフラ変更では回避できないため、より堅牢な検知アプローチです。インシデントレスポンス時にIOCを素早く抽出・共有することで、組織内外での横展開を防止できます。